TietosuojaselostePrivacy notice

Rekisterinpitäjä

Aada Raittinen, Y-tunnus 3323178-8, Pillimehu-studio, Satakunnankatu 30, 33210 Tampere.

Tietosuoja-asioissa yhteydenotot: inkmepwease@gmail.com. Vastaamme pyyntöihin viimeistään kuukauden kuluessa.

Erillistä tietosuojavastaavaa ei ole nimetty. Toiminta on laajuudeltaan yhden tekijän kokoista, eikä se kuulu tietosuoja-asetuksen 37 artiklan nimeämisvelvollisuuden piiriin.

Data controller

Aada Raittinen, business ID 3323178-8, Pillimehu studio, Satakunnankatu 30, 33210 Tampere, Finland.

For data protection matters: inkmepwease@gmail.com. Requests are answered within one month at the latest.

No separate data protection officer has been appointed. The activity is the size of one person's practice and does not fall under the appointment duty in Article 37 of the GDPR.

Mitä tietoja kerätään

Ajanvarauslomakkeella: nimi, sähköpostiosoite, katuosoite, postinumero ja postitoimipaikka, puhelinnumero (vapaaehtoinen), Instagram-tunnus (vapaaehtoinen), kuvaus haluamastasi tatuoinnista, sijoittelu kehossa, arvioitu koko, tieto siitä onko kyseessä cover-up, budjetti, valitsemasi aikatyyppi ja mahdollinen flash-numero, vapaamuotoinen "muuta huomioitavaa" -kenttä, valitsemasi päivä ja aikaikkuna, lomakkeen kieli sekä aikaleima siitä milloin hyväksyit ehdot.

Referenssikuvat: lomakkeelle voi liittää enintään neljä kuvaa. Ne tallennetaan erilliseen tallennustilaan, joka ei ole julkinen, eivätkä ne näy sivustolla kenellekään muulle.

Palautelaatikko: viesti on pakollinen, nimi ja yhteystieto vapaaehtoisia.

Tekniset tiedot: IP-osoitteesi tallennetaan lyhytaikaisesti lomakkeen ja ylläpidon kirjautumisen lähetysrajoitusta varten. Kielivalintasi tallennetaan oman selaimesi muistiin. Ylläpidon kirjautuminen käyttää istuntoevästettä.

Viestintä: sähköpostit ja mahdolliset Instagram-viestit säilyvät niissä palveluissa niiden omien ehtojen mukaisesti.

What is collected

From the booking form: name, email address, street address, postcode and city, phone number (optional), Instagram handle (optional), a description of the tattoo you want, placement on the body, approximate size, whether it is a cover-up, budget, the appointment type you chose and a flash number if applicable, the free-text "anything else" field, the day and time window you picked, the language the form was in, and a timestamp of when you accepted the terms.

Reference images: up to four pictures can be attached to the form. They are held in separate, non-public storage and are never shown on the site to anyone else.

Feedback box: the message is required; a name and a contact detail are optional.

Technical data: your IP address is stored briefly to rate-limit the form and the admin login. Your language choice is stored in your own browser. The admin login uses a session cookie.

Correspondence: emails and any Instagram messages remain in those services under their own terms.

Terveystiedot

Lomakkeen "muuta huomioitavaa" -kentässä pyydetään kertomaan muun muassa ihosairauksista, allergioista, lääkityksestä ja raskaudesta. Nämä ovat tietosuoja-asetuksen 9 artiklassa tarkoitettuja erityisiin henkilötietoryhmiin kuuluvia terveystietoja.

Niitä käsitellään ainoastaan sinun nimenomaisella suostumuksellasi (9 artiklan 2 kohdan a alakohta) ja ainoastaan siihen, että tatuointi voidaan tehdä turvallisesti. Tietoja ei käytetä mihinkään muuhun tarkoitukseen eikä luovuteta eteenpäin.

Suostumus pyydetään erikseen: jos kirjoitat kenttään jotain, lomakkeelle ilmestyy oma valintaruutunsa terveystietoja varten. Ilman sitä varausta ei voi lähettää terveystietojen kanssa. Suostumuksen antamisen ajankohta tallennetaan, jotta voimme tarvittaessa osoittaa suostumuksen olemassaolon.

Kentän täyttäminen on vapaaehtoista, ja voit halutessasi kertoa asiat vasta paikan päällä. Suostumuksen voi peruuttaa milloin tahansa ottamalla yhteyttä osoitteeseen inkmepwease@gmail.com, jolloin kenttään kirjoitetut terveystiedot poistetaan. Peruuttaminen ei vaikuta ennen sitä tehdyn käsittelyn lainmukaisuuteen.

Health data

The "anything else" field on the form asks about skin conditions, allergies, medication and pregnancy, among other things. That is health data, which Article 9 of the GDPR treats as a special category of personal data.

It is processed only with your explicit consent (Article 9(2)(a)) and only so that the tattoo can be done safely. It is not used for any other purpose and is not passed on.

Consent is asked for separately: writing anything in that field brings up a checkbox of its own for health data, and a booking carrying health information cannot be sent without it. The moment consent was given is recorded, so that it can be demonstrated if it is ever questioned.

Filling in the field is voluntary, and you are welcome to raise these things in person instead. Consent can be withdrawn at any time by writing to inkmepwease@gmail.com, and the health information in that field is then deleted. Withdrawal does not affect the lawfulness of processing carried out before it.

Miksi tietoja käsitellään ja millä perusteella

Ajanvarauksen hoitaminen, ajan vahvistaminen ja siihen liittyvä viestintä: sopimus tai sen valmistelu (6 artiklan 1 kohdan b alakohta).

Peruutus- ja saapumatta jättämismaksujen laskuttaminen: oikeutettu etu (6 artiklan 1 kohdan f alakohta). Tästä syystä lomakkeella kysytään nimi ja osoite.

Kirjanpito ja laskutus: lakisääteinen velvoite (6 artiklan 1 kohdan c alakohta).

Terveystiedot: nimenomainen suostumus (9 artiklan 2 kohdan a alakohta).

Palautelaatikko: suostumus (6 artiklan 1 kohdan a alakohta).

Roskapostin, väärinkäytön ja luvattomien kirjautumisyritysten estäminen: oikeutettu etu (6 artiklan 1 kohdan f alakohta).

Tietoja ei käytetä markkinointiin, profilointiin eikä automaattiseen päätöksentekoon.

Why it is processed, and on what basis

Handling the booking, confirming the appointment and the messages around it: contract, or steps taken before entering one (Article 6(1)(b)).

Invoicing cancellation and no-show fees: legitimate interest (Article 6(1)(f)). This is why the form asks for a name and an address.

Bookkeeping and invoicing: legal obligation (Article 6(1)(c)).

Health data: explicit consent (Article 9(2)(a)).

Feedback box: consent (Article 6(1)(a)).

Preventing spam, abuse and unauthorised login attempts: legitimate interest (Article 6(1)(f)).

Data is not used for marketing, profiling or automated decision-making.

Kenelle tietoja luovutetaan

Henkilötietojasi ei myydä eikä luovuteta markkinointitarkoituksiin. Seuraavat palveluntarjoajat käsittelevät tietoja lukuumme henkilötietojen käsittelijöinä:

Cloudflare — sivuston, tietokannan ja kuvatallennuksen alusta.

Resend — vahvistus- ja ilmoitusviestien lähettäminen sähköpostitse.

Google (Google Calendar) — hyväksytystä ajasta tehdään kalenterimerkintä, joka sisältää nimesi, yhteystietosi ja kuvauksen sovitusta työstä.

Meta (Instagram) — jos otat yhteyttä Instagramissa, viestintä tapahtuu Metan palvelussa sen omien ehtojen mukaisesti.

Sivuston kirjasimet, kuvat ja muut tiedostot ladataan tältä samalta sivustolta. Sivu ei hae mitään ulkopuolisilta palvelimilta, joten pelkkä sivuston selaaminen ei välitä tietojasi kenellekään.

Osa yllä mainituista palveluista käsittelee tietoja EU- ja ETA-alueen ulkopuolella, muun muassa Yhdysvalloissa. Siirrot perustuvat Euroopan komission hyväksymiin vakiosopimuslausekkeisiin tai EU:n ja Yhdysvaltain väliseen tietosuojakehykseen (Data Privacy Framework).

Tietoja voidaan lisäksi luovuttaa viranomaiselle, jos laki sitä edellyttää.

Who it is shared with

Your personal data is not sold and not passed on for marketing. The following providers process data on our behalf as processors:

Cloudflare — the platform hosting the site, the database and the image storage.

Resend — sending the confirmation and notification emails.

Google (Google Calendar) — an accepted appointment becomes a calendar entry containing your name, your contact details and a description of the agreed work.

Meta (Instagram) — if you get in touch on Instagram, that conversation happens in Meta's service under its own terms.

The site's typefaces, images and other files are all served from this site. No page fetches anything from an outside server, so simply browsing the site passes your details to nobody.

Some of the providers above process data outside the EU and EEA, including in the United States. Those transfers rely on the European Commission's standard contractual clauses or on the EU-US Data Privacy Framework.

Data may also be disclosed to an authority where the law requires it.

Kuinka kauan tietoja säilytetään

Varaustiedot: 24 kuukautta ajan jälkeen.

Referenssikuvat sekä "muuta huomioitavaa" -kenttään kirjoitetut terveystiedot: sama 24 kuukautta kuin varaustiedot, ja pyynnöstä aiemmin.

Laskutukseen ja kirjanpitoon liittyvät tiedot: kirjanpitolain mukaisesti kuusi vuotta sen kalenterivuoden lopusta, jonka aikana tilikausi päättyy. Tämä on lakisääteinen velvoite, eikä siitä voi poiketa pyynnöstäkään.

Palautelaatikon viestit: säilytetään kunnes ne poistetaan ylläpidosta. Niille ei ole ennalta asetettua määräaikaa. Voit pyytää oman palautteesi poistamista milloin tahansa.

Lähetysrajoituksen IP-tiedot: enintään käytetyn aikaikkunan ajan, jonka jälkeen tieto korvautuu.

Ylläpidon istunto: 12 tuntia kirjautumisesta.

Poistot tehdään käsin: sivustolla ei ole automaattista poistoajastusta.

How long it is kept

Booking data: 24 months after the appointment.

Reference images and any health information written into the "anything else" field: the same 24 months as the booking, and sooner on request.

Invoicing and bookkeeping records: six years from the end of the calendar year in which the accounting period ends, as required by the Finnish Accounting Act. That is a legal obligation and cannot be shortened, even on request.

Feedback box messages: kept until they are deleted from the admin panel. No fixed period is set for them. You can ask for your own message to be removed at any time.

Rate-limiting IP data: no longer than the window in use, after which the entry is overwritten.

Admin session: 12 hours from login.

Deletions are carried out by hand; the site has no automatic deletion schedule.

Tietojen suojaaminen

Yhteys sivustolle on salattu (HTTPS). Ylläpitoon pääsee vain salasanalla, joka on tallennettu suolattuna tiivisteenä (PBKDF2-SHA-256). Istuntotunnisteista tallennetaan vain tiiviste, joten tietokannan sisällöllä ei voi kirjautua sisään. Kirjautumisyrityksiä rajoitetaan.

Referenssikuvat ovat tallennustilassa, joka ei ole julkinen, eivätkä ne näy sivustolla. Varaustietoihin pääsee käsiksi vain Aada.

How the data is protected

The connection to the site is encrypted (HTTPS). The admin area is reachable only with a password, which is stored as a salted hash (PBKDF2-SHA-256). Only a hash of each session token is stored, so the contents of the database cannot be used to log in. Login attempts are rate-limited.

Reference images sit in storage that is not public and are never shown on the site. Only Aada has access to booking data.

Sinun oikeutesi

Sinulla on oikeus saada tietää, mitä tietoja sinusta käsitellään, ja saada niistä kopio; oikaista virheellinen tai puutteellinen tieto; pyytää tietojesi poistamista; pyytää käsittelyn rajoittamista; vastustaa oikeutettuun etuun perustuvaa käsittelyä; saada antamasi tiedot koneluettavassa muodossa siirrettäväksi; sekä peruuttaa suostumuksesi siltä osin kuin käsittely perustuu siihen.

Pyynnön voi tehdä sähköpostitse osoitteeseen inkmepwease@gmail.com. Vastaamme kuukauden kuluessa. Henkilöllisyytesi voidaan joutua varmistamaan ennen tietojen luovuttamista, jotta tietoja ei anneta väärälle henkilölle.

Huomaa, että kirjanpitolain edellyttämiä laskutustietoja ei voida poistaa säilytysajan kuluessa, vaikka muut tiedot poistettaisiin.

Your rights

You have the right to know what data is held about you and to receive a copy of it; to have inaccurate or incomplete data corrected; to ask for your data to be erased; to ask for processing to be restricted; to object to processing based on legitimate interest; to receive the data you gave in a machine-readable form so it can be transferred; and to withdraw your consent where processing rests on it.

Requests go to inkmepwease@gmail.com. They are answered within one month. Your identity may need to be verified first, so that data is not handed to the wrong person.

Note that invoicing records required by the Accounting Act cannot be deleted while that retention period runs, even where everything else is.

Oikeus tehdä valitus

Jos katsot, että henkilötietojesi käsittely on tietosuojalainsäädännön vastaista, voit tehdä valituksen valvontaviranomaiselle.

Tietosuojavaltuutetun toimisto, PL 800, 00531 Helsinki. tietosuoja.fi

Your right to complain

If you believe your personal data is being handled unlawfully, you can lodge a complaint with the supervisory authority.

Office of the Data Protection Ombudsman, PO Box 800, 00531 Helsinki, Finland. tietosuoja.fi

Evästeet ja selaimeen tallennettavat tiedot

Sivusto ei käytä seuranta-, analytiikka- tai mainosevästeitä, eikä kävijöitä seurata sivustojen välillä.

Ylläpidon kirjautumiseen käytetään istuntoevästettä (imp_session). Se on välttämätön kirjautumisen toiminnalle ja vanhenee 12 tunnissa. Tavallinen kävijä ei saa sitä lainkaan.

Kielivalintasi (FI/EN) tallennetaan selaimesi paikalliseen muistiin. Tieto ei lähde selaimestasi mihinkään.

Sivuston kirjasimet ladataan tältä sivustolta eikä ulkopuoliselta palvelimelta, joten sivun avaaminen ei välitä IP-osoitettasi kolmannelle osapuolelle.

Cookies and what is stored in your browser

The site uses no tracking, analytics or advertising cookies, and visitors are not followed across sites.

The admin login uses a session cookie (imp_session). It is strictly necessary for logging in and expires after 12 hours. An ordinary visitor never receives it.

Your language choice (FI/EN) is stored in your browser's local storage. It never leaves your browser.

The site's typefaces are served from this site rather than from an outside server, so opening a page does not pass your IP address to any third party.

Alaikäiset

Tatuointeja tehdään vain täysi-ikäisille. Alle 18-vuotiaiden varauksia ei oteta vastaan, eikä sivustoa ole suunnattu alaikäisille.

Jos huomaamme saaneemme varauksen alaikäiseltä, varaus perutaan ja siihen liittyvät tiedot poistetaan.

Minors

Tattoos are done for adults only. Bookings from anyone under 18 are not accepted, and the site is not directed at minors.

If a booking turns out to have come from someone under 18, it is cancelled and the data that came with it is deleted.

Selosteen muutokset

Tätä selostetta päivitetään, jos sivuston toiminta tai käytettävät palvelut muuttuvat. Voimassa oleva versio on aina tällä sivulla, ja päivityspäivä lukee sivun alussa.

Changes to this notice

This notice is updated whenever the site's workings or the services behind it change. The version in force is always the one on this page, and the date it was updated is at the top.